IDS : Intrusion Detection System

Présentation au sujet: "IDS : Intrusion Detection System"— Transcription de la présentation:

1 IDS : Intrusion Detection System
Le trafic habituel qui entre dans votre réseau sert à : Résoudre des requêtes DNS Accéder à des pages web La messagerie SMTP … Un certain pourcentage du trafic sert en fait à des actions malicieuses : Reconnaître quelles sont les ressources disponibles sur votre réseau Lancer une attaque de type « déni de service » pour  la disponibilité de vos serveurs Ouvrir une « back door » dans votre réseau RE16

2 IDS : Intrusion Detection System
Un IDS est normalement capable de détecter ce genre de trafic… L’IDS sert d’abord à déterminer si des attaques arrivent sur votre réseau. Les attaques classiques arriveront en premier Un IDS « standard » est suffisant dans la phase d’observation Il va permettre de savoir ce qui arrive sur votre réseau : 10 reconnaissances par jour ? 1000 reconnaissances par jour ? Si vous êtes l’objet d’attaques fréquentes et variées, un IDS dernier modèle va être indispensable… RE16

3 Les 2 types d’IDS Analogy based IDS
Capture du trafic pendant une période de temps hugée représentative Compare ensuite les propriétés (statistiques, temporelles, …) du trafic courant à cette mesure de référence Détecte de nouvelles attaques sans mise à jour du système Génère beaucoup de fausses alertes dans le cas où la forme du trafic évoue dans le temps RE16

4 Les 2 types d’IDS Signature based IDS
Comparaison du trafic à une base de signatures, en regardant les en-têtes et la charge utile des paquets Beaucoup moins de fausses alarmes Incapable de détecter de nouvelles attaques sans une mise à jour régulière de la base des signatures RE16

5 Networ-based IDS (NIDS)
IDS : placement L’IDS peut être exécuté par : Le firewall filtrant Un équipement spécialisé qui va alors agir sur les filtres du firewall. Cet équipement doit être placé en série ou en sonde à l’entrée du réseau Cet équipement doit avoir de bonnes capacités de traitement car il vérifie tous les flux ! Sur un serveur particulier pour protéger ce serveur Peut aussi être compliqué quand il y a beaucoup de serveurs Networ-based IDS (NIDS) Host-based IDS (HIDS) RE16

6 IDS : placement L’IDS peut être placé de deux manières :
In-line : en série Inspecte forcément tout le trafic Peut directement agir sur le trafic par filtrage Passive Monitiring : passif ou sonde N’est pas obligé de tout inspecter Fait agir le routeur ou la firewall (retard) RE16

7 IDS : placement En tête de réseau, on compare ce que détecte l’IDS sur le lien public, avec ce qu’il détecte après le premier filtrage Si il y a des VPNs sur le firewall, le premier IDS ne verra rien dans les paquets cryptés Il faut donc en utiliser un autre avant le réseau interne Le coût peut être très élevé RE16

8 IDS : logiciel + matériel
RE16

9 IDS : logiciels Computer Associates : eTrust® Secure Content Manager

10 IDS : mise en garde Mise en garde :
Les IDS sont des systèmes « jeunes » dont la fiabilité n’est pas totale Cela ne doit en aucun être l’unique moyen de protection Un firewall correctement installé doit utiliser tous les outils déjà vus dans ce cours Les IDS peuvent : Indiquer des attaques qui n’en sont pas (fausses détections) Ne pas détecter de vraies attaques (absence de détection) RE16

11 IDS : actions Un IDS peut avoir plusieurs actions :
Générer des alarmes sans bloquer les paquets Mettre fin « poliment » aux sessions suspectes Bloquer les sessions suspectes Des alarmes sont générées dans tous les cas ! RE16

12 IDS : signatures Un IDS cherche l’apparition de séquences particulières dans : Les en-têtes (type « context ») La charge utile des paquets (type « content ») Un paquet (type « atomic ») Une série de paquets (type « compound ») Une série de paquets appartenant à des sessions différentes (type « compound ») RE16

13 IDS : signatures Les attaques connues sont rangées en plusieurs catégories : Information : tout ce qui peut en fait être considéré comme « normal » sur le réseau comme les « echo request ICMP » Reconnaissance : requêtes vers des ressources qui ne sont normalement pas disponibles Ping sweeps, DNS queries, port scanning Access : tout ce qui a pour but de prendre le contrôle d’une machine de votre réseau Requêtes particulières, exploitation des défauts des systèmes d’exploitation Denial of Service : tout ce qui a pour but de diminuer les performances d’une machine, voire de la rendre indisponible TCP SYN floods, ping of death, smurf, fraggle trinoo, … RE16

14 IDS : signatures Ordre de grandeur :
Sur les derniers IOS cisco, plus de 1640 signatures sont reconnues ! Cisco%20IOS%20IPS%20Supported%20Signature%20List%A0%20%5BCisco%20IOS%20Intrusion%20Prevention%20System%20(IPS)%5D%20-%20Cisco%20Systems.mht cdccont_0900aecd8039e2e4.pdf Top 10 de attaques les plus fréquentes : RE16